Dans la plupart des entreprises, les équipes informatiques connaissent bien les processus de reprise après sinistre et de continuité des activités. Cependant, certaines ne sont peut-être pas conscientes de l'importance de réaliser une analyse d'impact sur les activités (BIA). Une BIA est l'un des éléments les plus importants d'un plan de continuité des activités. Elle aide les entreprises à évaluer l'impact financier des pannes ou de toute autre perturbation sur leurs activités.
Qu'est-ce qu'une analyse d'impact sur l'activité et pourquoi est-elle importante ?
Une analyse d'impact sur les activités (BIA) permet d'identifier les conséquences d'une perte soudaine des fonctions opérationnelles, généralement en termes de coûts pour l'entreprise. Une BIA identifie également les fonctions opérationnelles les plus critiques, ce qui vous permet d'élaborer un plan de continuité des activités qui donne la priorité à la reprise de ces fonctions essentielles. Cependant, la cause de la perturbation des activités n'a pas d'importance. Elle peut être due à une négligence, à une catastrophe naturelle, à une cyberattaque ou à d'autres causes. L'analyse porte plutôt sur l'impact de la catastrophe sur l'entreprise, hiérarchise les ressources et détermine la meilleure approche pour la reprise.
Une analyse d'impact sur les affaires (BIA) comprend trois éléments clés :
- Conséquences sur l'activité
- Délais
- Dépendances
Chacun de ces points est abordé plus en détail ci-dessous. En tant qu'élément fondamental d'un plan de continuité des activités, une analyse d'impact sur les activités (BIA) est essentielle à la reprise des activités en cas de sinistre.
Impact sur l'activité
Identifier les fonctions opérationnelles les plus critiques en fonction de leur coût pour l'entreprise
Une analyse d'impact sur l'activité (BIA) identifie les fonctions essentielles d'une entreprise qui assurent sa pérennité : l'ensemble de ses processus métier, les ressources nécessaires à leur exécution et les systèmes requis à cet effet. Le coût potentiel lié à une interruption de l'activité, tel que la perte de chiffre d'affaires, les sanctions pour non-respect de la réglementation, les pénalités contractuelles résultant du non-respect des accords de niveau de service (SLA), l'augmentation des coûts opérationnels, etc., est calculé en valeur monétaire réelle pour chaque fonction métier.
Pour évaluer l'impact financier, une approche consiste à utiliser un questionnaire comportant des questions dont les réponses sont notées sur une échelle de 1 à 5. Par exemple :
- Quelle serait la perte potentielle de chiffre d'affaires si cette fonction opérationnelle venait à être interrompue ?
- Quelles amendes et sanctions l'entreprise risquerait-elle ?
- Quelle augmentation des coûts d'exploitation l'entreprise devrait-elle subir ?
L'entreprise pourrait également subir des coûts autres que financiers. Il s'agit notamment d'une atteinte à la réputation et d'une perte de clientèle. Votre questionnaire pourrait également comporter des questions telles que :
- Quels seraient les risques pour la réputation de l'entreprise ?
- Quel serait l'impact sur le service client ?
Identifier les menaces potentielles pesant sur ces fonctions
Une fois que votre analyse d'impact sur l'activité (BIA) a identifié les fonctions opérationnelles critiques, elle détermine les risques qui y sont associés, ainsi que les conditions susceptibles de provoquer une interruption des processus opérationnels et la probabilité de réapparition du risque.
Délais
Votre analyse d'impact sur les activités (BIA) doit porter sur trois périodes :
- Objectif de point de reprise (RPO) — Il s'agit généralement de l'intervalle entre deux sauvegardes de données, qui correspond à la durée maximale pendant laquelle des données peuvent être perdues en cas de sinistre.
- Objectif de délai de reprise (RTO) — Le temps qu'il vous faudrait pour restaurer vos données à partir d'une sauvegarde.
- Durée maximale d'indisponibilité admissible (MAD) — Durée maximale d'indisponibilité qu'une fonction opérationnelle donnée peut se permettre. Elle doit inclure le temps nécessaire pour rétablir le fonctionnement complet de la fonction après la restauration d'une sauvegarde.
Dépendances
Une analyse d'impact sur l'activité (BIA) doit permettre d'identifier les interdépendances entre les processus métier et les systèmes. Cela permet de hiérarchiser les systèmes qui doivent être rétablis en priorité. Une BIA vous aide à déterminer l'ordre dans lequel les fonctions ou processus perdus doivent être rétablis. Une fonction métier dont le bon fonctionnement dépend d'un plus grand nombre de processus métier aura une priorité plus élevée dans le processus de reprise que les autres.
Il peut également exister des dépendances vis-à-vis de certains prestataires avec lesquels vous devrez collaborer pour rétablir divers systèmes et fonctions. Il peut s'agir notamment de prestataires informatiques et de fournisseurs d'accès à Internet ; ces dépendances doivent être consignées dans votre analyse d'impact sur les activités (BIA).
Existe-t-il des normes BIA ?
Plusieurs normes fournissent des recommandations sur la manière d'élaborer une analyse d'impact sur les activités (BIA). Parmi celles-ci figurent la norme ISO 22301 de l'Organisation internationale de normalisation (ISO), la norme NFPA 1600 de la National Fire Protection Association et la norme BCP du Federal Financial Institutions Examination Council (FFIEC) destinée aux institutions financières.
Analyse de l'impact sur les activités dans le cadre de la planification de la continuité des activités
Un plan de continuité des activités (PCA) décrit les mesures à prendre en cas de panne ou de perturbation, tandis qu’une analyse d’impact sur les activités (AIA) identifie les risques susceptibles de provoquer une telle panne ainsi que les fonctions opérationnelles critiques qui pourraient en être affectées, et établit un ordre de priorité pour leur rétablissement. Une BIA jette les bases d'un plan de continuité des activités solide et prépare une organisation aux efforts inévitables nécessaires pour se remettre d'une perturbation des activités. Les PCA ne se concentrent pas uniquement sur les opérations techniques (problèmes matériels/logiciels), mais prennent également en compte le personnel et les autres ressources associées à la continuité des activités.
Une fois votre analyse d'impact sur les activités (BIA) mise en place, il est recommandé de la réexaminer et de la mettre à jour régulièrement, car votre entreprise évolue au fil du temps. Cela vous permet d'exploiter efficacement cette analyse pour faire face aux nouveaux risques et défis. Il est conseillé de procéder à cette révision au moins tous les deux ans. Associée à un plan de continuité des activités, une analyse d'impact sur les activités permet à une organisation de réduire au minimum les temps d'arrêt et de garantir la productivité de son personnel, même en cas de crise.
Pour en savoir plus sur la planification de la continuité des activités, consultez notre ebook « Transformer une crise en opportunité ».
